TerminalFix, 가짜 Cloudflare CAPTCHA로 역터널 백도어 배포 캠페인

클라우드플레어 CAPTCHA로 위장한 ‘TerminalFix’ 역터널 백도어 캠페인 확산

• Microsoft는 기존 ‘ClickFix’의 변종인 ‘TerminalFix’를 공개하며 Windows Terminal·PowerShell에 악성 명령 실행을 유도하는 새로운 사회공학 공격을 경고했다. 다중 부문 조직을 겨냥해 사용자를 직접 속이는 방식이다.
• 공격자는 침해된 웹사이트에서 가짜 Cloudflare CAPTCHA를 띄워 방문자에게 PowerShell 명령 복사를 요구하고, 이를 통해 ‘LockScreenContentServer.exe’와 악성 ‘dui70.dll’을 담은 ZIP을 내려받게 해 DLL 사이드로딩을 실행한다.
• 사이드로딩된 ‘dui70.dll’은 ‘bestsocialmedianewspapper.com’·‘offlineupdater.com’에서 PNG 이미지 속 페이로드를 추출해 지속성을 확보하고, Active Directory 도메인 정찰 후 Python 기반 역터널 C2 ‘client.py’를 배포하는 단계적 침투를 수행한다.
• 역터널 백도어 ‘client.py’는 암호화된 WebSocket을 통해 ‘gitnow.dev:443’로 임의 TCP 트래픽을 터널링하고, 파일 감시 PowerShell 루프와 Invoke-Expression으로 명령을 지속 실행해 내부망의 다수 호스트로 공격자 접근을 확장한다.
• Microsoft는 이러한 역터널 침해로 권한 상승, 보안 통제 무력화, 데이터 탈취, 랜섬웨어 배포까지 이어질 수 있다며 AppLocker·Application Control·그룹 정책으로 표준 사용자 PowerShell·Run 제한, DLL 사이드로딩 모니터링, ClickFix 인지 교육을 권고한다.
• 역터널 기반 내부망 직접 액세스 기법은 클라우드·온프렘 혼합 환경에서 탐지 난이도가 높아 국가·기업 핵심 인프라까지 이어질 수 있어, 국내 정책 차원에서 브라우저·PowerShell 통제와 사용자 교육, 역터널 트래픽 탐지 체계 강화가 시급하다.

가짜 CAPTCHA와 역터널 백도어를 결합한 TerminalFix는 사용자 행동·내부망 구조 모두를 노리는 위협이다. 국내 공공·민간에서 PowerShell 사용 정책 재점검과 역터널 탐지 체계 구축을 서둘러야 한다.

주요 용어: DLL 사이드로딩(정상 실행 파일이 악성 DLL을 로드하도록 악용하는 기법), 역터널(내부 PC에서 외부 C2로 암호화 연결을 열어 외부 공격자가 내부망을 우회적으로 제어하는 통신 방식)

출처: The Hacker News